網(wǎng)絡(luò)安全,防火墻-文庫(kù)吧
2025-01-15 17:04 本頁(yè)面
【正文】 息 ， 包頭信息中包括： ? 源 IP地址 、 目標(biāo) IP地址 ? 協(xié)議類型 (TCP、 UDP、 ICMP等等 ) ?TCP/UDP源端口 、 目標(biāo)端口 ?ICMP消息類型 ?TCP包頭中的 ACK位等 11 ? 對(duì)到達(dá)包過(guò)濾防火墻的數(shù)據(jù)包： ? 規(guī)則允許該數(shù)據(jù)包通過(guò)，那么該數(shù)據(jù)包就會(huì)按照路由表中的信息被轉(zhuǎn)發(fā) ? 規(guī)則拒絕該數(shù)據(jù)包，那么該數(shù)據(jù)包就會(huì)被丟棄 ? 如果沒(méi)有匹配規(guī)則，根據(jù)系統(tǒng)的設(shè)計(jì)策略 (缺省禁止 /缺省允許 )決定是轉(zhuǎn)發(fā)還是丟棄數(shù)據(jù)包 12 ?優(yōu)點(diǎn)： ? 處理數(shù)據(jù)包的速度比較快 (與代理服務(wù)器相比 ) ?在流量適中并定義較少過(guò)濾規(guī)則時(shí)，路由器的性能幾乎不受影響 ? 實(shí)現(xiàn)包過(guò)濾幾乎不再需要費(fèi)用 ?標(biāo)準(zhǔn)的路由器軟件包含數(shù)據(jù)包過(guò)濾功能 ? 包過(guò)濾路由器對(duì)用戶和應(yīng)用來(lái)講是透明的 ?不必對(duì)用戶進(jìn)行特殊的培訓(xùn) ?不必在每臺(tái)主機(jī)上安裝特定的軟件 ?用戶不用改變客戶端程序或改變自己的行為 13 ? 缺點(diǎn)： ? 包過(guò)濾防火墻的維護(hù)比較困難 ? 定義數(shù)據(jù)包過(guò)濾器比較復(fù)雜，網(wǎng)絡(luò)管理員需要對(duì)各種 Inter服務(wù)、包頭格式、以及每個(gè)域的意義有非常深入的理解 ? 只能阻止一種類型的 IP欺騙 ? 即外部主機(jī)偽裝內(nèi)部主機(jī)的 IP，對(duì)于外部主機(jī)偽裝其他可信任的外部主機(jī)的 IP不能阻止 ? 任何直接經(jīng)過(guò)路由器的數(shù)據(jù)包都有被用做數(shù)據(jù)驅(qū)動(dòng)式攻擊的潛在危險(xiǎn) ? 數(shù)據(jù)驅(qū)動(dòng)式攻擊：表面上無(wú)害的數(shù)據(jù)被郵寄或拷貝到內(nèi)部主機(jī)上，但其中包含了一些隱藏的指令，一旦執(zhí)行能夠讓主機(jī)修改訪問(wèn)控制和與安全有關(guān)的文件，使得入侵者能夠獲得對(duì)系統(tǒng)的訪問(wèn)權(quán) 14 ? 缺點(diǎn)： ? 一些包過(guò)濾路由器不支持有效的用戶認(rèn)證 ? 因?yàn)?IP地址是可以偽造的，因此如果沒(méi)有基于用戶的認(rèn)證，僅通過(guò) IP地址來(lái)判斷是不安全的 ? 不能提供有用的日志，或根本不提供日志 ? 隨著過(guò)濾器數(shù)目的增加，路由器的吞吐量會(huì)下降 ? IP包過(guò)濾器可能無(wú)法對(duì)網(wǎng)絡(luò)上流動(dòng)的信息提供全面的控制 ? 包過(guò)濾路由器能夠允許或拒絕特定的服務(wù)，但是不能理解特定服務(wù)的上下文環(huán)境和數(shù)據(jù) 15 ? 應(yīng)用場(chǎng)合 ? 機(jī)構(gòu)是非集中化管理 ? 機(jī)構(gòu)沒(méi)有強(qiáng)大的集中安全策略 ? 網(wǎng)絡(luò)的主機(jī)數(shù)非常少 ? 主要依賴于主機(jī)安全來(lái)防止入侵，但是當(dāng)主機(jī)數(shù)增加到一定的程度的時(shí)候，僅靠主機(jī)安全是不夠的 ? 沒(méi)有使用 DHCP這樣的動(dòng)態(tài) IP地址分配協(xié)議 16 ? 雙宿 /多宿主機(jī)：有兩個(gè)或多個(gè)網(wǎng)絡(luò)接口的計(jì)算機(jī)系統(tǒng)，可以連接多個(gè)網(wǎng)絡(luò)，實(shí)現(xiàn)多個(gè)網(wǎng)絡(luò)之間的訪問(wèn)控制 ? 雙宿 /多宿主機(jī)防火墻：用雙宿 /多宿主機(jī)實(shí)現(xiàn)防火墻的功能 應(yīng) 用 層 代 理網(wǎng) 絡(luò) 接 口 網(wǎng) 絡(luò) 接 口外 部 網(wǎng) 內(nèi) 部 網(wǎng)17 ? 特點(diǎn)： ? IP層通信被阻止 ? 雙宿主機(jī)內(nèi)外的網(wǎng)絡(luò)均可與雙宿
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1